CVE-2026-35571
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Emissary przed wersją 8.39.0 interpolował wartości linków kontrolowane przez konfigurację bezpośrednio do atrybutów href w szablonach nawigacji Mustache bez walidacji schematu URL. Administrator mogący modyfikować konfigurację navItems mógł wstrzyknąć identyfikatory URI javascript:, umożliwiając przechowywany XSS przeciwko innym uwierzytelnionym użytkownikom interfejsu webowego.
Ocena ryzyka
Uwierzytelnieni użytkownicy odwiedzający interfejs Emissary mogą stać się ofiarami wykonania złośliwego skryptu w ich kontekście. Wymaga to jednak uprawnień administracyjnych do modyfikacji konfiguracji.
Rekomendacja
Zaktualizuj Emissary do wersji 8.39.0 lub nowszej. Ogranicz uprawnienia do edycji konfiguracji nawigacji do zaufanych administratorów.
Inne podatności w Emissary
Zobacz wszystkie- CVE-2026-35582Wysokie
Emissary w wersjach 8.42.0 i starszych zawiera podatność na wstrzyknięcie poleceń systemowych w metodzie Executrix.getCommand(), ponieważ ścieżki plików tymczasowych są wstawiane do polecenia powłoki /bin/sh -c bez ucieczki. Klucze konfiguracyjne IN_FILE_ENDING i OUT_FILE_ENDING trafiają bezpośrednio do tych ścieżek, co pozwala autorowi miejsca z możliwością edycji pliku .cfg na wstrzyknięcie metaznaków powłoki i wykonanie poleceń w kontekście bezpieczeństwa procesu JVM.
- CVE-2026-35583Średnie
Emissary przed wersją 8.39.0 waliduje nazwy konfiguracji w endpoincie API (/api/configuration/{name}) za pomocą czarnej listy sprawdzającej \, /, .. i końcowe ... Można to obejść za pomocą wariantów kodowania URL, podwójnego kodowania lub normalizacji Unicode, aby osiągnąć path traversal i odczytać pliki konfiguracyjne poza zamierzonym katalogiem. Luka została naprawiona w wersji 8.39.0.
Oryginalny opis (angielski, źródło NVD)
Emissary is a P2P based data-driven workflow engine. Prior to 8.39.0, Mustache navigation templates interpolated configuration-controlled link values directly into href attributes without URL scheme validation. An administrator who could modify the navItems configuration could inject javascript: URIs, enabling stored cross-site scripting (XSS) against other authenticated users viewing the Emissary web interface. This vulnerability is fixed in 8.39.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS